Cyber-Versicherung für Online-Shops

Zahlungsdaten, PCI-DSS und Kreditkartenbetrug

Jeder Online-Shop, der Kartenzahlungen anbietet, unterliegt dem Payment Card Industry Data Security Standard (PCI-DSS), einem branchenweiten Sicherheitsstandard der Kartennetzwerke. Der Standard verlangt unter anderem verschlüsselte Übertragung von Zahlungsdaten, regelmäßige Sicherheitsprüfungen und eine strikte Trennung von Zahlungsdaten und übrigem Shopsystem. Die Einhaltung ist vertraglich gegenüber dem Payment-Dienstleister verpflichtend, ein Verstoß kann zu Vertragsstrafen der Kartennetzwerke führen, unabhängig davon, ob tatsächlich Daten abgeflossen sind.

Kommt es trotz PCI-DSS-Konformität zu einem Verlust von Zahlungsdaten, etwa durch eine Sicherheitslücke im Shopsystem oder ein manipuliertes Plugin, das Kartendaten beim Checkout abgreift (sogenanntes Skimming), haftet der Shopbetreiber gegenüber Kunden, Payment-Dienstleistern und teils gegenüber den Kartennetzwerken selbst. Die Kosten setzen sich zusammen aus forensischer Aufklärung, Neuausstellung betroffener Karten durch die Banken, möglichen Vertragsstrafen der Kartennetzwerke und der Benachrichtigung der betroffenen Kunden. Eine Cyber-Versicherung für Online-Shops sollte ausdrücklich PCI-DSS-Vertragsstrafen und die Kosten einer forensischen Untersuchung nach Kartendatenverlust einschließen, da Standardtarife diesen Punkt teils nur eingeschränkt abdecken.

Shop-Ausfall als Betriebsunterbrechung mit Umsatzausfall

Für einen Online-Shop ist die Betriebsunterbrechung nicht abstrakt, sondern unmittelbar in Umsatz messbar: Jede Stunde, in der der Shop wegen eines Cyberangriffs, eines DDoS-Angriffs oder einer Ransomware-Verschlüsselung nicht erreichbar ist, bedeutet entgangene Bestellungen. Anders als bei stationären Betrieben lässt sich der Ausfall über historische Umsatzdaten oft sehr genau beziffern, was die Schadenregulierung in der Praxis vereinfacht, sofern die Police eine Betriebsunterbrechungsdeckung mit ausreichender Haftzeit enthält.

Wichtig ist dabei die vereinbarte Haftzeit, also der Zeitraum, für den die Versicherung den Umsatzausfall überhaupt ersetzt. Viele Einsteigertarife begrenzen die Haftzeit auf wenige Tage, während die tatsächliche Wiederherstellung eines kompromittierten Shopsystems inklusive forensischer Prüfung und Migration auf eine bereinigte Umgebung häufig zwei bis drei Wochen dauert. Shops mit saisonalem Geschäft, etwa im Weihnachts- oder Sale-Geschäft, sollten zusätzlich prüfen, ob die Versicherung den saisonal erhöhten Umsatz bei der Schadenberechnung berücksichtigt oder nur einen gemittelten Jahreswert zugrunde legt.

Ein weiterer Faktor ist die Abhängigkeit von externen Zahlungs- und Versanddienstleistern. Fällt nicht der eigene Shop, sondern ein zentraler Zahlungsanbieter aus, ist der Shopbetreiber faktisch ebenso lahmgelegt, obwohl die eigene Infrastruktur funktioniert. Gute Policen für Online-Shops schließen diese sogenannte Contingent-Business-Interruption-Deckung ein, also Betriebsunterbrechung durch Ausfall wichtiger Dienstleister, während günstige Grundtarife den Schutz meist auf die eigene Infrastruktur beschränken.

Aus den Schadenakten

Fake-Shop-Klone der eigenen Marke

Ein Risiko, das speziell Online-Shops betrifft und bei klassischen Cyber-Versicherungen häufig unterschätzt wird, ist der Fake-Shop-Klon: Betrüger kopieren Design, Produktfotos und Markenauftritt eines etablierten Shops auf eine ähnlich klingende Domain und nutzen den Vertrauensvorschuss der Marke, um Kunden zur Vorkasse zu bewegen, ohne jemals zu liefern. Für den Original-Shop entsteht daraus ein doppelter Schaden: Betroffene Kunden verwechseln den Fake-Shop mit dem echten Anbieter und wenden sich mit berechtigten Beschwerden an das Original, gleichzeitig leidet die Reputation der Marke, wenn Warnungen vor dem Fake-Shop in sozialen Netzwerken oder Bewertungsportalen kursieren.

Cyber-Versicherungen mit Reputationsmanagement-Baustein übernehmen in solchen Fällen Kosten für Rechtsberatung zur Domain-Sperrung, für koordinierte Kundenkommunikation und teils für PR-Maßnahmen zur Klarstellung. Wichtig ist die Prüfung vor Vertragsabschluss, ob der Baustein ausdrücklich auch Markenmissbrauch durch Dritte über gefälschte Domains einschließt, viele Standardtarife beziehen Reputationsschäden nur auf eigene Sicherheitsvorfälle und nicht auf Angriffe, bei denen die Marke lediglich missbraucht wird, ohne dass die eigene Systeme kompromittiert wurden.

DSGVO-Auskunftspflicht nach Datenpanne und Abhängigkeit vom Shopsystem-Hoster

Kommt es zu einer Datenpanne mit Kundendaten, trifft den Shopbetreiber neben der Meldepflicht gegenüber der Aufsichtsbehörde auch die Auskunftspflicht gegenüber den betroffenen Kunden selbst. Kunden können nach Artikel 15 DSGVO verlangen, konkret zu erfahren, welche ihrer Daten betroffen waren und welche Maßnahmen ergriffen wurden. Bei größeren Shops mit mehreren zehntausend Kundendatensätzen bedeutet das einen erheblichen organisatorischen Aufwand, der über die reine Behördenmeldung deutlich hinausgeht und in der Kostenkalkulation oft unterschätzt wird.

Ein strukturelles Risiko vieler Online-Shops liegt zudem in der Abhängigkeit vom eingesetzten Shopsystem und dessen Hosting-Anbieter. Wird eine Sicherheitslücke in der Shopsoftware selbst bekannt, etwa in einem verbreiteten Shopsystem oder einem häufig genutzten Erweiterungsmodul, sind gleichzeitig tausende Shops betroffen, die dieselbe Software einsetzen. Für den einzelnen Shopbetreiber bedeutet das, dass die eigene Sicherheit teilweise außerhalb der eigenen Kontrolle liegt und von der Update-Geschwindigkeit des Software- oder Hosting-Anbieters abhängt. Bei der Wahl der Cyber-Police lohnt sich deshalb der Blick darauf, ob Schäden durch Sicherheitslücken in Drittanbieter-Software und -Hosting ausdrücklich mitversichert sind, statt nur Schäden durch eigenes Fehlverhalten.

Kostenorientierung nach Shop-Umsatz

Die folgende Übersicht zeigt grobe Richtwerte für die jährliche Prämie einer Cyber-Versicherung für Online-Shops. Die tatsächlichen Beiträge hängen von Jahresumsatz, Anzahl gespeicherter Kundendatensätze, eingesetztem Shopsystem und gewählter Deckungssumme ab und dienen ausschließlich der ersten Orientierung, nicht als verbindliches Angebot.